Cass. soc., 1er juin 2017, n° 15-23.522
1- Les faits
Dans le cadre du licenciement pour insuffisance professionnelle de M.X, son directeur administratif et financier, l’employeur produit des échanges de courriels professionnels entre lui et ce salarié. C’est-à-dire que ces e-mails émanaient de l’adresse professionnelle du salarié, et que leurs contenus étaient lui aussi strictement professionnel.
Le salarié, suivi dans son argumentation par la Cour d’Appel de Paris, considère la production de ces e-mails illicites, faute pour l’employeur d’avoir effectué la déclaration simplifiée qui lui incombe en matière de gestion de la messagerie électronique professionnelle, à l’exclusion de tout traitement permettant le contrôle de l’activité des employés.
Par exemple, un gestionnaire contact par courriel M.X indiquant une demande pressée étant donné que celle-ci doit être réglée avant « l’aube ». Apparemment inspiré par ce terme, M.X se contentait de répondre par un poème commençant ainsi « Demain, dès l’aube… », mais ne traitant aucunement de la demande du gestionnaire.
8 autres courriels de ce type étaient l’objet du débat, doivent-ils être reçus comme un mode de preuve licite ?
La solution du litige dépendait de ces pièces qui prouvent le caractère réel et sérieux du licenciement. Mais elles ont été écartées par la Cour d’Appel de Paris. La société était alors condamnée à verser au salarié la somme de 42.500 €.
Or, la Cour de Cassation qui considère ces e-mails comme étant un mode de preuve licite, même en l’absence de déclaration simplifiée, casse et annule l’arrêt de la Cour d’Appel de Paris.
2 - Pour les fichiers ou traitements de données personnelles les plus courants, qui ne portent donc pas atteinte à la vie privée ou aux libertés, une déclaration simplifiée suffit.
Distinction entre déclaration simplifiée et déclaration normale
Le régime de droit commun est la déclaration normale, lorsque le fichier ne relève pas d’une procédure particulière (art. 22 de la loi "Informatique et Libertés").
Pour les traitements de données personnelles les plus courants (gestion de personnel, contrôle d’accès aux locaux etc.), dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, la CNIL a édicté des normes simplifiées. Si le traitement concerné est strictement conforme à une norme existante le Correspondant informatique et libertés est habilité à l’enregistrer dans le registre du CNRS.
La messagerie électronique professionnelle fait l’objet d’une déclaration simplifiée
Norme simplifiée n° 46 : Délibération n°2005-002 du 13 janvier 2005 portant adoption d'une norme destinée à simplifier l'obligation de déclaration des traitements mis en œuvre par les organismes publics et privés pour la gestion de leurs personnels.
Article 1er
Peut bénéficier de la procédure de la déclaration simplifiée de conformité à la présente norme tout traitement automatisé relatif à la gestion du personnel des organismes publics ou privés qui répondent aux conditions suivantes.
Article 2 : finalités du traitement
Le traitement peut avoir tout ou partie des finalités suivantes :
- gestion de la messagerie électronique professionnelle, à l'exclusion de tout traitement permettant le contrôle individuel de l'activité des employés ;
La gestion de la messagerie électrique professionnelle du salarié fait donc partie des exceptions pour lesquelles une déclaration simplifiée à la CNIL est suffisante (selon l’article 2 de la norme simplifiée n°46).
3 -Quelles sont les conséquences du défaut de déclaration simplifiée ?
L'absence de déclaration simplifiée d'un système de messagerie électronique professionnelle non pourvu d'un contrôle individuel de l'activité des salariés, qui n'est dès lors pas susceptible de porter atteinte à la vie privée ou aux libertés au sens de l'article 24 de la loi « informatique et libertés », ne rend pas illicite la production en justice des courriels adressés par l'employeur ou par le salarié dont l'auteur ne peut ignorer qu'ils sont enregistrés et conservés par le système informatique.
Il n’y a donc pas de conséquences réelles en cas de défaut de déclaration. Cette solution s’explique car nous sommes dans le régime de la déclaration simplifiée. Tel n’aurait pas été le cas d’un système de surveillance nécessitant une déclaration normale, tel que des caméras de vidéosurveillance par exemple.
Et, tel n’aurait pas été non plus le cas si les e-mails provenaient d’une adresse de messagerie personnelle, car cela constituerait une atteinte au secret des correspondances (Cass Soc, 26 janvier 2016, n°14-15.360) passible par ailleurs de sanctions pénales (Article 226-15 du Code pénal). Et ce, même si les messages personnels sont issus d’un ordinateur professionnel (Cass Civ1 17 mars 2016, n°15-14.557).
Le célèbre arrêt « Nikon » (Cass. soc., 2 oct. 2001, n° 99-42.942) prohibe la production de pièces dès lors que celles-ci résultent de message à caractère personnel. L'employeur ne peut ainsi, sans violation du secret des correspondances, prendre connaissance des messages personnels émis par le salarié et reçus par lui grâce à un outil informatique mis à sa disposition pour son travail, et ceci même au cas où l'employeur aurait interdit une utilisation non professionnelle de l'ordinateur.
Or, dans le cadre de l’arrêt du 1er juin 2017, il s’agit de messages professionnels puisque échangés entre le salarié et son employeur ou des collaborateurs, envoyés à partir de son adresse électronique professionnel.
Dès lors, aucune violation de la vie privée, ou du secret des correspondances ne peut être valablement soutenue par le salarié.
Cette solution a pour conséquence de vider de sa substance la nécessité d’effectuer la déclaration simplifiée, puisque même en l’absence d’une telle déclaration aucune conséquence n’est applicable à l’employeur qui peut quand même se prévaloir des e-mails comme moyen de preuve.
Elle est toutefois compréhensible, il aurait été surprenant qu’un employeur ne puisse pas produire des e-mails professionnels échangés avec son salarié…
